Ciberataque mundial de ransomware: #WannaCry afecta a casi 100 paises

Actualización a domingo 14 de mayo: el ataque fue detenido "fortuitamente" en el día de ayer cuando un investigador registró un dominio que figuraba en el código del programa de ransomware. Posteriormente se descubrió que el dominio fue incluido por los atacantes como forma de evadir las técnicas de análisis; pero tuvo el efecto contrario una vez que el dominio fue registrado. De todas maneras es importante destacar que, si bien por el momento la expansión del código malicioso fue detenida, lo fue bajo su actual codificación, por lo que no se puede descartar que pueda reanudarse el ataque informático bajo otras formas. Por ello, es imperioso actualizar los sistemas Windows con los últimos parches de seguridad disponibles.

Post original:

Desde el día de ayer viernes 12, las infraestructuras informáticas de miles organizaciones públicas y privadas en casi cien países son blanco del mayor ataque de ransomware de la historia. Entre los países afectados figuran los Estados Unidos, Canadá, China, Italia, Japón asi como España, Rusia, Ucrania y Taiwan.

¿Pero que es el ransomware? Básicamente es un programa que encripta y bloquea el acceso a parte o a todos los datos de un dispositivo informático. El atacante entonces requiere el pago de una suma de dinero (normalmente pagadera en bitcoins u otro medio de dificil trazabilidad) a cambio de la clave que permite el desbloqueo de los archivos comprometidos.

En este caso en particular, el programa de ransomware es el llamado WannaCry, El mismo aprovecha una vulnerabilidad del sistema operativo Windows que Microsoft había solucionado mediante un parche de seguridad distribuído el pasado marzo. Parece ser entonces que WannaCry está aprovechando la vulnerabilidad en máquinas que no han aplicado la solución de seguridad. Hasta el momento se desconoce la identidad de los atacantes, que están pidiendo un rescate que va de los 300 a los 600 dólares de acuerdo al tiempo de pago.

¿Como podemos evitar ser víctimas de un ataque de este tipo? Sin ser esta una lista extensiva, hay dos pasos sencillos:

• Mantener actualizados tanto el sistema operativo como las aplicaciones y programas de nuestro dispositivo informático. Para evitar recordar hacerlo, los programas permiten configurar las actualizaciones de manera automática y en horas que no perturben el uso normal de la computadora.
• No acceder a enlaces web o archivos sospechosos, asi como no bajar programas a la computadora cuya procedencia no sea de los sitios oficiales del desarrollador.

Asimismo, es muy importante tener un backup o respaldo actualizado de nuestros principales archivos, preferentemente en un dispositivo externo (flash drive, disco duro externo) asi como que, en caso de haber sido victimas de este cibercrimen, no acceder a la demanda de los atacantes, ya que no solamente el pago los alienta a seguir cometiendo este delito sino que tampoco hay garantías de recibir la clave de desbloqueo o que esta efectivamente funcione.

Fuentes:

http://money.cnn.com/2017/05/12/technology/ransomware-attack-nsa-microsoft/index.html

https://www.clarin.com/mundo/masivo-ciberataque-afecto-74-paises-incluyo-45-000-incidentes_0_BJ9WEqXxb.html

https://www.wordfence.com/blog/2017/05/massive-global-ransomware-attack-underway-patch-available/?utm_source=list&utm_medium=email&utm_campaign=051217

Eliminar el papel moneda ¿Cuestión económica, tecnológica o de libertad?

¿Es posible eliminar todo el papel moneda de un pais determinado? ¿Cuales serían las consecuencias sociales, legales, tecnológicas y económicas de tal medida? Estas preguntas surgen a raiz de la nota de opinión publicada en el matutino La Nación con la firma del diputado nacional Federico Sturzenegger. En la misma, el economista del PRO sugiere, para eliminar la informalidad reinante en la economía argentina, eliminar todo el papel moneda circulante y dejar solamente las monedas metálicas. Entiende Sturzenegger que la informalidad se da solamente con los billetes de mayor denominación, entonces retirándolos de circulación y/o no imprimiendolos se lograría una mayor formalidad económica, beneficiándose la sociedad con, por ejemplo, la reducción de la carga impositiva.

 La propuesta gira básicamente en obligar a que todos los individuos - debemos entender como tal a todos los habitantes del pais mayores de 18 años - tengan una cuenta bancaria sin costo y hagan uso de la misma para efectuar la mayoría de las transacciones económicas, mediante el uso de elementos informáticos tales como smartphones. Asimismo sugiere convocar a empresas como Apple para que desarrollen sus versiones de dinero electrónico en nuestro país y expandir el uso de la tarjeta SUBE como medio de pago electrónico.

Volviendo ahora a las preguntas que nos haciamos al principio ¿que tan posible es una medida de este tipo? Desde un punto de vista puramente teorico (y económico), está claro que es posible, ya que se estaría reemplazando un medio de pago por otro. Cambiarían las formas simplemente. Ahora bien, llevada al plano practico, esta claro que aparecen otras cuestiones e interrogantes que dificultarían la implementación de la propuesta. En primer lugar indice de bancarización en Argentina es bajo, basicamente porque hay falta de confianza en el sistema (recordemos la confiscación de depósitos y la pesificación asimetrica del año 2002). El argentino medio percibe al banco no como un aliado para sus transacciones económicas (o como vehiculo de inversión) sino como una especie de supraorganización orientada a utilizar los dineros de los clientes para su propio y exclusivo beneficio. Por otra parte, si bien en nuestro país el comercio electrónico avanza a paso firme, no es menos cierto que el pais carece de la infraestructura comunicacional necesaria para soportar tal avance (1). Hoy dia se presentan problemas de conectividad - sobre todo a nivel móvil - que seguramente se agravarían con el acceso de aquellos obligado a utilizar el sistema de moneda electrónica.

Dejamos adrede por su importancia para este párrafo final el tema de la pérdida de libertad. Creemos que el centralizar el intercambio económico de un pais es coartar la libertad del individuo. Hoy dia tanto el Estado como numerosos entes privados poseen volúmenes increibles de informacion acerca de quienes somos, con quien interactuamos, cuales son nuestros gustos y en que gastamos nuestros dineros, todo ello a través de acciones propias de las personas tanto como por acciones de vigilancia estatal. Si se diera un proyecto de este tipo (inclusive sin llegar al extremo de retirar todo el circulante en papel) el Estado sumaría información que podría ser usada en contra de los ciudadanos, para ejercer un control social y político inadmisible en un estado republicano y de derecho. No es centralizando operaciones comerciales mediante el uso de la tecnología que el Estado logrará controlar la evasión y la informalidad en la economía, sino mediante la reducción de gastos innecesarios, asignación eficiente de partidas asi como el uso de reglas claras y simples que tiendan a la mayor libertad social, económica y política.

                              -----------------------------------------------------------------------------

(1) Nótese que en esta semana se conoció la noticia acerca de que las operadoras móviles terminaron con los planes de Internet ilimitado para sus usuarios, con lo cual no es solamente una cuestión de estructura sino de politica comercial de las empresas - http://www.lanacion.com.ar/1782439-los-smartphones-y-el-4g-van-de-la-mano-de-las-quejas-por-los-cambios-en-los-abonos-de-telefonia-movil

Fuentes:

http://www.cronista.com/finanzasmercados/El-nivel-de-bancarizacion-en-la-Argentina-es-el-mas-bajo-de-toda-America-latina-20110209-0056.html

http://www.cace.org.ar/novedades/el-comercio-electronico-crecio-un-485-en-argentina-y-ya-son-mas-de-12-millones-los-argentinos-que-compran-por-internet/

http://www.lanacion.com.ar/1621563-internet-la-web-argentina-es-cada-vez-mas-cara-y-mas-lenta

El ataque informático a Sony o una lección sobre como debemos administrar nuestros datos

A fines del mes pasado, se conoció la noticia acerca del ciberataque a las redes corporativas de la empresa de entretenimiento Sony Pictures Entertainment. Inicialmente se especuló con que Corea del Norte podria estar tras dicha acción, debido a la la película de Sony "The Interview", una comedia sobre un complot para asesinar al líder norcoreano, Kim Jong Un, y programada para ser lanzada el 25 de diciembre. Luego la investigación se dirigio al grupo auto denominado "Guardianes de la Paz" o GOP por sus siglas en inglés, ya que los mismos fueron los encargados de solicitar el retiro de la pelicula mencionada, cuestión sobre la que el país asiático declaró no tener relación alguna con tal grupo.

Si bien en un principio el daño fue medido entre unos 10 a 100 millones de dólares, el mismo puede considerarse incalculable debido a la profundidad de la penetración en los sistemas de Sony. Desde la pérdida de su empleo por parte de la vicepresidenta ejecutiva Amy Pascal, hasta la filtración de miles de datos personales y sensibles de 47000 empleados de la compañía, así como de varias estrellas del espectáculo como Angelina Jolie, James Franco, Sylvester Stallone y hasta Beatriz, la nieta de la reina de Inglaterra pasando por peliculas sin estrenar como  como "Still Alice", "Annie", "Mr. Turner" y "To Write Love on Her Arms" las cuales se encuentran en sitios no autorizados de Internet para descargas o streaming.

Pero aquí queremos hacer hincapié en un aspecto particular del hackeo. Es el que tiene que ver con el contenido de los correos electrónicos corporativos filtrados. Comentarios de tono racista hacia el presidente de EEUU Barack Obama como si deberian pedirle fondos para filmar peliculas del estilo de "El mayordomo", "12 años" o "Django unchained", todas ellas relacionadas con la esclavitud y el racismo hacia la población negra. También se pudieron leer descalificaciones a actores, tal el caso de Angelina Jolie, a la que el productor Scott Rudin calificó de "niña maleducada con talento mínimo" e infantil, irresponsable y caprichosa.

Queda en evidencia por lo visto que Sony no tenia una verdadera política de administración de datos (o su universo poblacional no la respetaba). Dentro del ciclo de vida de la información - generación, uso, almacenamiento, archivo y borrado / eliminación - la primer politica a establecer tiene que ser la del del correcto uso de los elementos informáticos de la empresa, sean estos software, hardware o servicios. La misma debe incluir un apartado sobre los contenidos de la información, es decir, el lenguaje empleado tiene que estar en un todo de acuerdo con la actitud del "buen hombre de negocios". Se debe evitar el uso de lenguaje "gracioso", de contenido sexual, discriminatorio o que incite a la violencia. Tales directivas (y el eventual control que se pueda hacer de todo documento generado dentro de la organización) deben estar orientadas a evitar las responsabilidades legales que se pudieran generar, asi como el daño indirecto por la pérdida de prestigio y reputación de la empresa. Junto con las necesarias politicas de seguridad de la información (como dato curioso, los administradores de la seguridad de Sony guardaban sus contraseñas en directorios con el nombre Passwords) las políticas de uso y generación de la información bien implementadas ayudarán, no quizás a evitar totalmente ataques de este tipo, pero si a minimizar su ocurrencia o a mitigar los posibles daños recibidos.

Fuentes:

http://gizmodo.com/sony-kept-thousands-of-passwords-in-a-document-marked-1666772286?utm_campaign=socialflow_gizmodo_facebook&utm_source=gizmodo_facebook&utm_medium=socialflow

http://gizmodo.com/sony-pictures-top-lawyer-s-emails-exposed-in-latest-lea-1669594084

http://cultura.elpais.com/cultura/2014/12/13/actualidad/1418471192_060470.html

http://elpais.com/elpais/2014/12/05/estilo/1417801727_106345.html

http://eleconomista.com.mx/tecnociencia/2014/12/11/sony-pide-disculpas-obama-mensajes-filtrados

http://eleconomista.com.mx/tecnociencia/2014/12/01/fbi-investiga-ciberataque-sony-pictures?cx_Unoticias=Nota05

Charla debate y concurso de presentación de trabajos “Desafíos jurídicos de los servicios de computación en la nube” en el Colegio de Abogados de la Ciudad de Buenos Aires

Corte superior de Nueva Zelanda ordena devolver elementos confiscados al administrador de Megaupload

By Kim_Schmitz.jpg: Andreas Bohnenstengel derivative work: Ianmacm (This file was derived from:  Kim_Schmitz.jpg) [CC-BY-SA-3.0 (http://creativecommons.org/licenses/by-sa/3.0)], via Wikimedia Commons

 

Días pasados, el fundador de Megaupload y acusado por el Departamento de Justicia de los EEUU, Kim Dotcom, fue autorizado por la High Court de Nueva Zelanda a acceder a toda la evidencia secuestrada durante los allanamientos efectuados por la policía en el año 2012. La Corte afirmó que las órdenes de allanamiento eran ilegales, estableciendo además que la policía debe entregar toda la prueba relevante para el caso, inclusive la transferida al FBI estadounidense, asi como el resto de los elementos secuestrados.

En su declaración, la jueza Helen Winkelmann dictaminó que la fuerza policiaca debía revisar todos los dispositivos digitales de almacenamiento de información y retornar a los demandados todos aquellos que no tuvieran relación directa con el caso. Los abogados de Dotcom declararon que al no tener acceso a la información secuestrada, veían afectado el derecho a la defensa de su cliente así como la imposibilidad de argumentar contra el pedido de extradición efectuado por los EEUU. Recordemos que Dotcom como otros coacusados enfrentan cargos por haber permitido la reproducción ilegal de contenidos protegidos por derechos de autor por sobre los quinientos millones de dólares. En su defensa, Dotcom dice que Megaupload era simplemente un sitio de almacenamiento online, y que no era posible para el establecer la legalidad o no de los archivos allí almacenados.

Fuente: 

http://security.cbronline.com/news/nz-high-court-orders-police-to-return-data-seized-from-megauploads-kim-dotcom-030613

PRISM o el sueño del Big Brother planetario hecho realidad

1. m. Geom. Cuerpo limitado por dos polígonos planos, paralelos e iguales que se llaman bases, y por tantos paralelogramos cuantos lados tenga cada base. Si estas son triángulos, el prisma se llama triangular; si pentágonos, pentagonal, etc. Esta es la definición de prisma que podemos encontrar en el diccionario en línea de la Real Academia Española. En inglés, prism. Pero no es de geometría de lo que venimos a hablar en esta entrada, sino de vigilancia y espionaje online. En estos días se conoció por una nota del diario The Guardian que la National Security Agency de los EEUU viene recolectando información electrónica de emails, chat de video / voz, video streaming, conversaciones sobre VoIP, file transfers y varios detalles respecto del uso de redes sociales, es decir, una especie de Gran Hermano electrónico. Este programa, cuyo origen data del año 2007,  es entonces conocido por su nombre en código PRISM.

La historia de este programa puede rastrearse hacia los años '70, donde la comunidad de inteligencia celebró alianzas con hasta cien empresas de tecnología. La NSA llama a las mismas "Special Source Operations" por lo que PRISM cae dentro de esta órbita. En especial PRISM fue lanzado en 2007 para reemplazar al programa Terrorist Surveillance Program que había sido ejecutado en las postrimerías del ataque terrorista a las Torres Gemelas. PRISM fue autorizado por el tribunal federal Foreign Intelligence Surveillance Court (FISC) bajo los términos de la ley Protect America Act of 2007 y su enmienda FISA Amendments Act of 2008. La vigencia del programa fue extendida por el presidente Barack Obama hasta el año 2017.

De acuerdo con el informante William Binney, PRISM es solo otra fuente de información de las que dispone la NSA. Ya tenian acceso a las líneas telefónicas y a los circuitos de fibra óptica, pero como de esa manera no podian acceder a toda la información disponible, PRISM accede directamente a la data de los principales providers de Internet, ya sea a los equipos propiedad de los mismos, sea instalando sus propios dispositivos en forma de backdoor. 

El programa está orientado a vigilar / recolectar todas las mencionadas comunicaciones originadas en el extranjero o de estadounidenses dirigidas hacia fuera de sus fronteras, sin importar si las mismas tienen como destino los Estados Unidos. Esto resulta de una cuestión técnica, ya que el tráfico de Internet está diseñado para "viajar" por la ruta mas eficiente, que no necesariamente significa la mas "corta" en términos geográficos. Y esas eficiencias se dan generalmente cuando la data viaja a través de servidores ubicados en los EEUU, o los proveedores de servicios se encuentran basados en ese país. De acuerdo a la NSA dentro de la recolección / análisis de la información, se trata de evitar investigar a ciudadanos estadounidenses, ya sea de dentro o fuera de tal país.

Las compañías mencionadas en la presentación filtrada por el diario británico negaron terminantemente haber provisto su acuerdo al programa. Desde Facebook hasta Dropbox las empresas dijeron que solamente brindan data al gobierno estadounidense solamente cuando son compelidos judicialmente a hacerlo. De acuerdo a la agencia Associated Press, dichas declaraciones fueron cuidadosamente elaboradas con el fin de ser técnicamente adecuadas para que no se pueda determinar a ciencia cierta cuanta información fue recolectada. Para la agencia Bloomberg, en tanto, resulta "imposible" que las empresas no supieran del programa y su finalidad. Es mas, el mismo gobierno estadounidense confirmó la participación de las empresas, mediante el director de la NSA.

Si bien a prima facie pareciera que el programa no nos afecta en nuestra uso diario de Internet, no es tan asi. A modo de ejemplo, imaginemos la siguiente situación: tenemos contratado un servicio de televisión por cable que también nos ofrece el servicio de telefonía IP, el cual se basa en la metodología VoIP. Usamos el mismo para llamar a una persona dentro del territorio nacional (es indistinto si la persona está dentro de la red VoIP o tiene un servicio de telefonía clásico). Esa comunicación puede estar siendo monitoreada en tiempo real por la NSA. Claramente es violatoria de derechos consagrados en nuestra Constitución Nacional como la inviolabilidad de las comunicaciones - art. 18 o la privacidad de las personas - artículo 19;  asi como de otras leyes tales como la 25326 de Datos Personales. Por supuesto que sería muy difícil pretender litigar en los EEUU por la afectación a tales derechos, en relación con los costos y el tiempo que llevaría hacerlo. Pero ¿cual es la responsabilidad de las empresas involucradas en relación con nuestros datos? ¿Acaso no serían responsables de haber permitido voluntariamente el acceso a nuestros datos a terceros no autorizados? ¿No implicaría, al menos, una responsabilidad de tipo civil? Preguntas que no tienen respuesta simple, pero que deberemos analizarlas a la luz de este tipo de "iniciativas" que claramente afectan nuestros derechos en tanto ciudadanos. Y para cerrar, volviendo al principio, podemos ver que también se define a prisma como punto de vista, perspectiva. Es lo que no debemos perder, la perspectiva de estar alertas y defender nuestros derechos en tanto ciudadanos y usuarios de la formidable herramienta que es Internet.

Fuentes:

http://www.guardian.co.uk/world/2013/jun/06/us-tech-giants-nsa-data

http://www.guardian.co.uk/world/2013/jun/08/nsa-prism-server-collection-facebook-google

http://www.washingtonpost.com/investigations/us-intelligence-mining-data-from-nine-us-internet-companies-in-broad-secret-program/2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497_story.html

http://lema.rae.es/drae/?val=prisma

Seminario "El ejercicio de la abogacía en la nueva Internet"

¿Aprovechar una falla de software consituye un delito? El caso del video poker en EEUU

Ganarle al casino. Saltar la banca. A lo largo de la historia de la humanidad, innumerables personas trataron de hacer realidad ese sueño: hacerse millonario a costa del patrón del juego. Martingalas, triquiñuelas individuales y en grupo fueron pensadas, probadas y ejecutadas con diversa suerte. Pero la llegada de las "nuevas" tecnologías viene a darle una nueva vuelta de tuerca al asunto. A los tradicionales juegos "mecánicos" - ruleta, black jack, poker, dados y demás - se sumaron sus variantes electrónicas. Que están compuestas por hardware y software. Y como quizás muchas veces hemos sufrido en carne propia, los programas tienen fallas. Que pueden tornarse en oportunidad.

Esto último es lo que pensaron los estadounidenses John Kane y Andre Nestor, dos jugadores de video poker, al descubrir un bug en la programación del juego Game King desarrollado por el gigante de los juegos electrónicos International Game Technology. El primero de los nombrados fue el que encontró la falla programática, la cual puede resumirse de la siguiente manera: el juego tiene tres variantes de poker que el jugador puede elegir, asi como el dinero a apostar. Cuando el jugador ganaba en una de las variantes, y la máquina le ofrecia la función "doble o nada" (era fundamental que esta apareciera, las máquinas que no lo hacian eran imnunes al truco) no retiraba el premio sino que accedia a la siguiente fase del juego asi como al siguiente nivel de apuesta. Luego ingresaba el dinero correspondiente pero no jugaba allí, sino que volvía al nivel anterior, donde todavia figuraba el premio anterior. Al presionar el boton para canjear al efectivo, le otorgaba el premio pero multiplicado por la apuesta superior. De esta manera, el duo, junto con varios cómplices, fueron capaces de hacerse de varios cientos de miles de dólares jugando en varios casinos de los Estados Unidos.

Descubierta la maniobra por parte de las autoridades, ambos jugadores fueron acusados bajo los cargos de acceder a un dispositivo electrónico excediéndose en la debida autorización para obtener o alterar información sobre la que el acusado no tenia derecho alguno. Para la fiscalía los casinos autorizaron a Kane y Nestor a jugar video poker, pero de ninguna manera consintieron que obtuvieran o alteraran información, tal como la mano de cartas jugadas con anterioridad - recordemos que el truco consistía en cambiar de nivel para multiplicar el premio con una apuesta mas alta. La defensa, por su parte, plantea que Kane y Nestor jugaron de acuerdo con las reglas de la máquina, por lo tanto no hubo intención alguna de alterar información, ya que no se trató de alterar mecánicamente el resultado del juego, sino que se presionaron botones de una manera perfectamente legal. El poder judicial, en tanto, pareciera adscribir al punto de vista de la defensa, ya que en primera instancia desestimó la acusación bajo los términos de la ley federal CFAA - Computer Fraud and Abuse Act -  lo cual debe ser confirmado por otro tribunal en el mes de agosto (de todas maneras los acusados deberán enfrentar cargos adicionales por fraude).

Haciendo un ejercicio mental decimos ¿como se encuadraría legalmente el hecho en nuestro país? Recordemos que la ley 26388 llamada comunmente "ley de delitos informáticos" incorporó a nuestro Código Penal diversas conductas tipificándolas como delitos. Entre ellas encontramos en el artículo 153 bis la conocida como "hackeo" o el acceso no autorizado - o excediendo el permiso recibido - a sistemas de información restringidos. Entonces, prima facie podríamos aplicar a tal conducta dicha norma. Ahora bien, ¿es tan así? En nuestra opinión la conducta no sería típica por dos motivos. El primero de ellos es porque no hay acceso al dispositivo electrónico sino hay operación del mismo. ¿Como es esto? Si pensamos en la definición del término en cuanto llevar a cabo alguna acción - apretar botones en una secuencia determinada - para producir un efecto determinado el cual es jugar un juego - entonces no hay acceso alguno a la lógica del dispositivo - el programa de computación - y los jugadores solamente operan la maquina para jugar y obtener un resultado. Operación hecha bajo las reglas del juego y del casino. Y en segundo lugar, porque el articulo está claramente orientado a castigar el acceso en si mas que al resultado obtenido por el mismo (para mayor análisis ver los fundamentos del proyecto de ley aqui).

Pero bien, el mismo 153 bis al referirse a la pena impuesta nos dice "si no resultare un delito mas severamente penado" ¿Que significa esto? El tipo penal se ha planteado como subsidiario - en forma secudaria -  de una conducta mas gravosa, como podría ser la estafa. La propia ley 26388 incorporó como inciso 16 la posibilidad de castigar la llamada "estafa informática", en cuanto técnica de manipulación informática que altere el normal funcionamiento de un sistema informático y de ello resulte beneficio patrimonial para el perpetrador. Dicho lo anterior, ¿podríamos aplicar este artículo a la conducta de "ganarle" al juego del video poker? Nuevamente entendemos que no, ya que 1) no hubo técnica de manipulación informática - los jugadores se limitaron a presionar los botones de la máquina dentro de las reglas previstas y 2) jamás se alteró el normal funcionamiento del sistema de juego, presupuesto necesario para la aplicación del tipo penal.

En definitiva y a modo de breve resumen, entendemos que la tecnología, en su avasallador avance, muchas veces motiva que ciertas conductas parezcan ilícitas tal el caso descripto. Pero cuidado, en materia de Derecho Penal no podemos jugar con analogías, comparaciones o similitudes. El hecho tiene que coincidir exactamente con lo descripto en el Código Penal, para de esa manera no dejar lugar a interpretación errónea alguna y garantizar la legalidad del proceso penal al que pueda ser sometido cualquier persona.

Fuentes: http://www.wired.com/threatlevel/2013/05/game-king/?cid=7626724

ISO aprueba proyecto para estandarizar la identificación, recolección y producción de prueba electrónica (e-discovery)

Un comité técnico de la ISO - International Organization for Standardization) dio luz verde el último mes para el desarrollo de un estándar técnico internacional para la recolección de documentación almacenada electrónicamente (ESI por sus siglas en inglés). Esta cuestión viene planteándose a lo largo de los años, mas precisamente desde que la masificación del uso de dispositivos electrónicos dio lugar a la producción de documentos electrónicos los cuales resultan prueba de los hechos y actos desarrollados con los mismos. El estándar viene a cerrar la brecha entre la tradicional informática forense y las nuevas tendencias en materia de administración de información - como la information governance o IG.

De acuerdo al experto en IG Steven Teppler, el estándar sobre e-discovery (obtención e intercambio de prueba electrónica en etapa prejudicial) será una guía que incluirá la terminología, un resumen acerca de lo que es el e-discovery y el ESI, para luego abordar los desafíos tecnológicos y de procedimiento asociados con el e-discovery. En particular, lo que tiene que ver con los pasos lógicos desde la identificación hasta la producción de documentación electrónica como prueba. También el proyecto apunta a regular cuestiones que no son abordadas por las Federal Rules of Civil Procedure - fuente del estándar - tal como la identificación y procesamiento de la información electrónica. Al enfocarse sobre todo el ciclo de vida de la información, desde su generación hasta la disposición final, el proyecto está dirigido a mitigar los riesgos y costos asociados con la prueba electrónica. No es intención del estándar reemplazar o contradecir regulaciones o leyes locales en la materia.

El título oficial para el proyecto es  ISO/IEC 27050, Information Technology — Security techniques — Electronic discovery, y el mismo fue desarrollado a lo largo de todo el año 2012, recibiendo aportes fundamentalmente de organismos y entidades de los Estados Unidos, tal como la Sedona Conference. Países como Brasil, China, Noruega, Italia, el Reino Unido, Tailandia, Rumania y Singapur entre otros han colaborado también en la elaboración de este draft. Actualmente el proyecto se encuentra en la etapa de recepción de comentarios y contribuciones, los cuales serán procesados en la próxima reunión del subcomité  JS27 del Joint Technical Committee encargado del mismo, en la ciudad sur coreana de Inchón en octubre de este año.

Fuente: http://www.law.com/jsp/lawtechnologynews/PubArticleLTN.jsp?id=1202597948357&thepage=1

Lo que sucede en Internet en un minuto...

Fuente: Intel http://www.intel.com/content/www/us/en/communications/internet-minute-infographic.html

En el gráfico que mostramos arriba, podemos encontrar algunos datos mas que interesantes respecto de lo que sucede en un minuto Internet:

• Circulan por la red casi seiscientos cuarenta mil gigabytes de datos vía protocolo IP (el equivalente a 640 discos rígidos de 1 terabytes - TB - de datos)
• Son robadas 20 identidades.
• Se generan ventas por 83000 dólares.
• Se suben 3000 fotos y se miran veinte millones de fotos.
• Ingresan a Facebook 27000 usuarios con 6 millones de views.
• Se generan mas de dos millones de búsquedas en Google y se suben 30 horas de video en YouTube.
• Además, a la fecha, el número de dispositivos en red iguala al número de habitantes en la Tierra; pronosticándose que para el 2015 dicho número doblará a la población global, asi como que nos tomaría 5 años para ver todo el video que circulará por la Red en un solo segundo.

Son números que impresionan. Nos dan una idea de lo que es la Red y en que medida influye e influirá en nuestra vida. Como dice la infografía "y el futuro es asombroso". En nuestra opinión el futuro ya llegó.

A modo de conclusión: el 2012 en Derecho y Tecnología

Es inevitable. Al llegar cada fin de año, las personas hacemos balances. Personales, espirituales y profesionales. Es por eso que desde este blog haremos un breve resumen de lo que entendemos han sido los hechos mas resonantes desde el punto de vista del Derecho y la Tecnología en este 2012 que se está yendo:

• El cierre de Megaupload: el 19 de enero, el FBI estadounidense y la justicia de Nueva Zelandia procedieron al cierre del popular sitio de descargas, asi como a arrestar a su fundador Kim Dotcom y varios de sus colaboradores. Desde el inicio el proceso estuvo plagado de irregularidades, por lo que todavía es un misterio si finalmente la causa llegará a juicio. Mientras tanto, Dotcom planea lanzar el servicio de música Megabox para competir contra Spotify en Twitter; asi como el sucesor de Megaupload, Me.Ga.

•  El proyecto de ley SOPA: una cuestión que sacudió al mundo de Internet fue el llamado proyecto de ley SOPA (siglas en inglés de Stop Online Piracy Act) del legislativo de los Estados Unidos. El mismo proponía una serie de de medidas contra sitios web que ofrecieran productos que violaran los derechos de propiedad intelectual, entre ellas el bloqueo por parte de los ISPs, el retiro de los resultados arrojados por los motores de búsqueda asi como la prohibición de publicar o brindar servicios de pagos electrónicos en tales sitios. Como los efectos prácticos de la misma hubiesen tenido efectos globales, las protestas no se hicieron esperar en todo el mundo. Ante tal panorama, el Congreso estadounidense decidió cajonear la iniciativa y hasta el momento pareciera no haber voluntad de reflotarla.

• Los ataques de Anonymous: el punto culminante de los ataques del grupo hacktivista fue luego del cierre de Megaupload, donde denegaron el servicio sobre las páginas de Universal Music, el Departamento de Justicia de los Estados Unidos asi como sobre el sitio del FBI.

• El fallo "Krum" y la responsabilidad de los buscadores de Internet: la Cámara de Apelaciones en lo Civil de la Ciudad de Buenos Aires dictaminó que, en relación con los resultados de búsqueda que causen daño los buscadores serán responsables de manera objetiva, es decir, por ser operadores de una cosa "riesgosa o con potencial para serlo" en los términos del artículo 1113 del Código Civil. Lejos de pacificar las aguas, la decisión ha disparado nuevas discusiones doctrinarias entre los que consideran acertado el enfoque del tribunal y aquellos que consideran que la responsabilidad es por los actos que ejercen los administradores de los buscadores, es decir una responsabilidad del tipo subjetiva.

• Las leyes que no fueron: en este año, leyes fundamentales que hacen al mejor funcionamiento y seguridad en la Internet no fueron tratadas por nuestro Congreso. Proyectos como el de cyberbullying, grooming, usurpación de la identidad digital o responsabilidad de los ISPs siguen durmiendo el sueño de los justos en el ámbito legislativo.

• Instagram y su cambio en los términos de uso: la popular aplicación para compartir fotos, la cual fuera comprada por Facebook en la suma de mil millones de dólares, intentó modificar sus términos y condiciones de uso para poder vender las fotografiás de los usuarios a empresas de publicidad. Esto desató una verdadera revolución entre sus adherentes, muchos de los cuales eliminaron sus cuentas de usuario. A raíz de todo esto, la empresa decidió dar marcha atrás, al menos temporalmente, con la medida.

Por supuesto estos no han sido todos los hechos que han pasado en este 2012 que se va extinguiendo. La gaffe de Apple Maps, el lanzamiento de Windows 8 y Microsoft Surface, el lanzamiento del iPad Mini y la guerra perenne de patentes entre los gigantes tecnologicos también pueden ser destacados dentro de los acontecimientos del año. Para terminar, queremos agradecerles a ustedes lectores el que nos hayan acompañado durante todo el año, deseando tengan un muy prospero y feliz Año Nuevo 2013, donde seguramente nos estaremos leyendo nuevamente...¡Felicidades!

Fuentes:

http://noticias.univision.com/tecnologia/fotos/slideshow/2012-12-21/lo-mejor-de-tecnologia-2012

http://www.lanacion.com.ar/1539622-se-va-el-2012-con-tecnologia-pero-sin-ley

http://www.redusers.com/noticias/la-ley-sopa-y-el-caso-megaupload-un-anticipo-de-la-futura-internet/

Empresa bursátil estadounidense pierde 400 millones de dólares por posible error en software

El miércoles pasado, la empresa bursátil Knight Capital modificó severamente las cotizaciones de unas 140 empresas cotizantes en la Bolsa de Nueva York, gracias al fallo en uno de sus sistemas informáticos. Si bien todavía la empresa no dio a conocer la causa exacta del problema en sus programas informáticos (en el único comunicado habló de un "asunto tecnológico") todo hace indicar que se habría debido a un error en el software que procesa las órdenes de compra y venta de los títulos.

El problema se manifestó no bien iniciada la ronda, cuando una enorme cantidad de requerimientos electrónicos de compra / venta originaron masivas órdenes de compra, logrando un verdadero descalabro en los precios de acciones de un gran rango de empresas, desde las mas conocidas hasta otras mas modestas, tal el caso de Wizzard Software Corp, cuya acción pasó del anterior cierre de U$S 3,50 a cotizar en mas de 14 dólares. Luego de unos 45 minutos, la compañía detectó el error, emitiendo órdenes de venta para desprenderse de las acciones compradas. Pero sus problemas no terminaron allí, ya que las acciones de la compañía se desplomaron un 33 por ciento causándole una pérdida de unos 440 millones de dólares. Si bien en principio ninguna de las empresas y clientes resultaron afectados, si pareciera que la imagen y el prestigio de Knight Capital ha sufrido mella, por lo que sus directivos han comenzado a buscar alternativas que le permitan recuperar la situación previa a esta falla.

Mas allá de lo que logren hacer los ejecutivos, es importante destacar la necesidad que tienen las empresas, no importa su tamaño, de realizar los controles correspondientes de sus sistemas y software, no solamente en las fases de desarrollo e implementación, sino a lo largo del ciclo de vida de los mismos. Auditorias informáticas y legales son necesarias a los fines de evitar complicaciones financieras y responsabilidades legales. En resumen, hacer un profundo y conciso trabajo preventivo en anticipación a acontecimientos problemáticos.

Fuentes:

http://www.fayerwayer.com/2012/08/knight-capital-pierde-mas-de-400-millones-de-dolares-en-la-bolsa-gracias-a-error-informatico/

http://www.reuters.com/article/2012/08/01/us-usa-nyse-tradinghalts-idUSBRE8701BN20120801

Para el Ministerio Público Fiscal, acceder sin permiso a Facebook constituye "violación de la correspondencia"

A mediados del mes pasado, el Procurador General de la Nación en funciones, Luis Gonzalez Warcalde, dictaminó que ingresar al perfil de una persona en Facebook sin autorización de la misma, se equipara a la violación de correspondencia tipificada en el artículo 153 del Código Penal. El requerimiento del Ministerio Público fue consecuencia de un planteo de competencia negativa (es decir, cuando dos jueces rechazan hacerse cargo de una causa determinada) entre dos juzgados, uno local y otro federal de la provincia de Río Negro ante una presunta infracción al artículo antes citado.

El denunciante expresó que una persona desconocida ingresó en el perfil de su hijo en la mencionada red social, profiriendo insultos no solamente a los contactos sino a otras personas que, en la creencia que es el titular quien los realiza, le responden de la misma manera. Su hijo, mediante averiguaciones aparentemente obtuvo el nombre de la persona que le había hackeado la cuenta.

La jueza federal, al declinar su competencia, establece que no puede asimilarse el acceder a una cuenta de Facebook con la violación de un correo electrónico, ya que la primera es totalmente independiente de la segunda. Además estableció que los hechos no habían afectado a intereses nacionales ni a la comunidad en general, sino que las injurias proferidas por el intruso habrían afectado a personas determinadas. El juez local, a su turno, entendió que tampoco correspondía su actuación en la causa desde que el hecho si importaba violación de la correspondencia electrónica asi como de la intimidad del menor. Vuelto el incidente al juzgado federal, quedó trabada la contienda y la actuación del Procurador.

Es entonces cuando el mismo considera que la página de la red social es equiparable a la "comunicación electrónica" así como al "dato informático de acceso restringido", por lo que, entonces, entendió que la conducta descripta era una violación de correspondencia en los términos del artículo del Código Penal. Además, si bien, de acuerdo a la denuncia, la finalidad primaria del acceso habría sido la de injuriar a varias personas de forma anónima, delito que correspondería investigar a la justicia ordinaria; el Procurador decidió otorgar la competencia a la justicia federal en orden a razones de economía procesal y mejor administración de justicia.

Fuente: http://www.mpf.gov.ar/biblioteca/newsletter/n403/j.pdf

Condenan al "zar" del spam a cuatro años de prisión

La semana pasada, una corte de Armenia condenó al ruso Georgiv Arvanesov a cumplir cuatro años de prisión por enviar mails spam mediante la infección de alrededor de 30 millones de computadoras. Dicha red de ordenadores, conocidas en la jerga como botnets o computadores "zombis" llegaron a enviar diariamente la friolera de 3600 millones de correos basura al día.

El modus operandi de este criminal consistía en la difusión, mediante el hackeo de populares páginas como Facebook, Amazon o Sykpe, del virus informático troyano BredoLab. Este se adjuntaba a correos electrónicos en la forma de archivos HTML, que al ser abiertos procedian a infectar las computadoras de los usuarios; las cuales eran "alquiladas" por Arvanesov, por una suma cercana a los 125000 dólares mensuales, a rings de ciberdelincuentes que las usaban para cometer hechos ilícitos.

La investigación conjunta llevada a cabo, desde 2009 por las policías rusa y holandesa, llevó a incautar 143 servidores ubicados en este último país. Desde los mismos se realizaba el control de los dispositivos infectados. Luego de esto, se procedió a la detención de Arvanesov en el aeropuerto Yerevan de Armenia. El juicio y la condena son considerados históricos ya que nunca se había condenado en ese país a un delincuente informático.

De acuerdo a los expertos en seguridad, Rusia es una especie de incubadora para piratas informáticos, ya que su sistema educativo hace hincapié en la enseñanza de matemáticas y otras ciencias "duras" tales como la ingeniería; lo que produce jóvenes muy bien preparados para desempeñarse en el mundo informático pero que, al no ser totalmente absorbidos por las empresas de la industria, terminan utilizando sus capacidades para el delito, sobre todo tentados por las enormes sumas que mueve el crimen informático (una cifra estimada en 114 mil millones de dólares anuales por la desarrolladora de software Suymantec).

Fuentes:

http://www.bbc.co.uk/mundo/noticias/2012/05/120525_tecnologia_zar_spam_aa.shtml

http://iuslink.com/gadgets/1076-condenaron-al-zar-del-spam-a-4-anos-de-prision

Google remueve mas de un millón de URLs de su motor de búsqueda por reclamos de propiedad intelectual

En lo que parece una firme política tendiente a combatir (o al menos mitigar) el problema de la piratería de contenidos protegidos por las leyes de propiedad intelectual, el gigante tecnológico Google está removiendo de su motor de búsqueda URLs (los conjuntos de caracteres que comúnmente conocemos como direcciones web) que supuestamente violan derechos de propiedad intelectual (DPI) a un ritmo cada vez mayor (1,2 millones de URLs en el último mes).

Por supuesto, no lo hace de motu proprio sino que tal actividad es a requerimiento de los titulares de los DPI o de organizaciones que lo representan, a través de un formulario electrónico. El resultado es publicado mensualmente por Google - Transparency Report su nombre- y es alli donde aparecen quien solicita la baja del enlace, quien detenta el DPI y todos los domains dados de baja desde julio de 2011. Si bien Google viene emitiendo este informe desde hace dos años, una cuestión novedosa se ha presentado este mes, al difundir los nombres de todos los solicitantes, ya que hasta entonces solamente brindaba información respecto de los requerimientos gubernamentales para bajar enlaces y contenido, no resultando siempre relacionados con cuestiones referidas a la propiedad intelectual.

¿Que tan relevante es la información? De acuerdo a Google, estos registros incluyen mas del 95% de los requerimientos de retiros por infracciones a los derechos autorales, no incluyendo solicitudes recibidas por otros medios (tales como cartas o faxes) asi como productos distintos de la búsqueda (por ejemplo YouTube o Blogger) y también links que apuntan a productos de Google (solicitudes de la búsqueda de Google orientadas a las URLs de YouTube o Blogger). El porcentaje de enlaces eliminados del motor de búsqueda alcanza al 97% para el período julio - diciembre de 2011, siendo el tiempo de turnaround (tiempo entre que se recibe la solicitud y la efectiva eliminación del enlace) de 11 horas.

Las principales organizaciones notificadoras han sido, en primer lugar Microsoft con mas de dos millones y medios de solicitudes (una media de 48000 semanales), seguida por NBCUniversal, BPI (British Recorded Music Industry), la compañía productora de películas para adultos Elegant Angel y las productoras musicales agrupadas en el consorcio RIAA.

De acuerdo a Fred von Lohmann, abogado senior para asuntos de copyright de la compañia, la decisión de añadir a los solicitantes privados al reporte es consecuencia de que Google está removiendo mas contenido relacionado con la propiedad intelectual que el vinculado con cualquier otra cuestión. Tambien aseveró que el método conocido como "notice and take down" es el mas adecuado para balancear los intereses de los titulares de DPI, de los usuarios y de Google en tanto desarrollador / administrador de la herramienta de búsqueda.

Al mismo tiempo, Google pone el acento en evitar denuncias abusivas que puedan dañar derechos de legítimos usuarios. De acuerdo a von Lohmann, la empresa recientemente rechazó dos solicitudes provenientes de una organización que representa a una gran empresa de entretenimientos, las cuales pedían remover un resultado de búsqueda que linkeaba a una crítica periodística de un espectáculo televisivo. Dichos requerimientos eran erróneos ya que tales enlaces no violaban ningún derecho autoral o de propiedad intelectual. Otras solicitudes también fueron rechazadas por no tener basamento legal alguno, es mas, parecieran haber sido utilizadas con propósitos competitivos entre empresas; o porque el contenido no era favorable para personas o empresas determinadas. Para finalizar, el letrado consideró que la transparencia es un elemento crucial para que este sistema funcione de manera adecuada, por lo que Google espera que este tipo de reportes ayude a todas las partes involucradas en la problemática de las violaciones al DPI.

Fuentes:

http://www.google.com/transparencyreport/removals/copyright/

http://googleblog.blogspot.com.ar/2012/05/transparency-for-copyright-removals-in.html

http://news.cnet.com/8301-1023_3-57441333-93/google-tackles-piracy-by-removing-millions-of-urls/

El comercio electrónico por Internet, causa de la mitad de los fraudes a nivel mundial

De acuerdo al director de Riesgo para América Latina y el Caribe de la multinacional de servicios financieros Visa, Jacinto Cofiño, aproximadamente la mitad de los fraudes cometidos a nivel mundial se efectúan a través de operaciones de comercio electrónico. La cuestión reside en que los usuarios siguen revelando datos sensibles mediante la técnica del phising, es decir, a través de correos electrónicos falsos en apariencia legítimos.

Los datos que estos emails solicitan del usuario son aquellos que permiten a los delincuentes efectuar transacciones tanto financieras como de compras; entre ellos podemos mencionar números de tarjetas de crédito, de identificación personal o PIN, passwords de cuentas bancarias y cualesquiera otra información relevante. Inclusive, a través de la llamada ingeniería social, los phisers pueden obtener información mediante otros como llamadas telefónicas, así como obtenerla de lugares que podríamos pensar inverosímiles, tal el caso de resúmenes de cuentas bancarias que son arrojados a la basura sin haberlos destruido completamente.

De todas maneras, esto no significa que haya que entrar en pánico. Para evitar caer en las manos de estos criminales es necesario tomar algunas precauciones sencillas tales como:

• No clickear automáticamente sobre ningún enlace recibido vía correo electrónico (esto es válido para todos los correos, inclusive para los recibidos de personas que tenemos en nuestra libreta de direcciones, ya que si bien en ese caso no se trata de un caso de phising, bien podría llevarnos a un sitio web que termine instalando en nuestro dispositivo un virus o algún otro tipo de malware).
• Sospechar de aquellos emails que solicitan información financiera, personal o de tipo similar. Recordemos que normalmente las instituciones financieras no requieren datos de sus usuarios mediante medios electrónicos. En caso de duda, comunicarse telefónicamente con el banco, previo a cualquier ingreso de datos,  para corroborar si efectivamente ellos enviaron dicha comunicación.
• Prestar atención a errores gramaticales y/u ortográficos, ya que son muy comunes en este tipo de estafas.
• En caso de recibir una llamada no deseada de alguien que dice ser nuestro banco, compañía de telefonía o de cable, solicitar amablemente de nuestro interlocutor su nombre y apellido y comunicarle que le devolveremos la llamada. Cortar y llamar a la empresa a los números telefónicos que aparezcan en la factura, resumen de cuenta o página web oficial (esto es para evitar que el tramposo nos de un número falso); para luego preguntar por la persona que nos llamó.
• Utilizar passwords fuertes, es decir, evitar fechas de nacimiento, cumpleaños, nombres de familiares, mascotas, etc. Estas son las mas fáciles de deducir mediante las técnicas de ingeniería social. Combinar letras (mayúsculas y minúsculas), números y signos. También es recomendable cambiarlas con cierta frecuencia.
• Guardar los comprobantes de operaciones de compra hasta el momento de recibir los resúmenes de cuenta por gastos.
• Destruir concienzudamente toda información analógica que vayamos a descartar, tal como resúmenes de cuenta bancarios, tarjetas de crédito y/o débito vencidas, los respectivos tickets de compra, comprobantes de operaciones de cajeros automáticos, etc.
• Dudar. Fundamentalmente dudar. Si algo nos parece sospechoso, tomarnos el tiempo necesario para revisar, preguntar, escuchar. Reformulando la primer parte del viejo dicho popular, pensemos que la confianza vacía las cuentas bancarias del hombre...

Fuente: http://eleconomista.com.mx/finanzas-personales/2012/05/23/mitad-fraudes-relacionado-compras-internet

Los responsables de Taringa! a juicio oral

En lo que parece ser se convertirá en el primer juicio oral relacionado con la violación de los derechos de propiedad intelectual por descargas no autorizadas desde la Internet, la fiscal de instrucción Felisa Krasucki solicitó la elevación a juicio oral y público de los responsables del sitio Taringa!, Hernán y Matias Botbol junto con Alberto Nakayama, por considerarlos facilitadores de los medios necesarios para que los usuarios del sitio pudieran compartir los archivos con obras sin autorización de los respectivos poseedores de los derechos. De ser hallados culpables, podrían enfrentar penas de hasta seis años de prisión.

El procesamiento gira en derredor de la descarga ilegal de veintinueve obras jurídicas mas doce libros de computación, mientras se encuentra bajo evaluación una tercera descarga de archivos musicales.

Para Hernan Botbol esto no los toma de sorpresa ya que "esto es parte del mismo proceso que comenzó hace seis meses, y era algo esperable porque es parte del proceso judicial normal; por ahora está en Cámara de casación y habrá que esperar a que se expida el juez". En su defensa, los fundadores de Taringa! sostienen que los archivos están alojados en otros servidores y que son los usuarios quienes enlazan las obras protegidas. 

Como paso posterior, el juez Eduardo Daffis Niklison trasladará el pedido a la defensa para que esta se expida sobre el mismo, para luego pasar a la Cámara del Crimen para el sorteo del tribunal oral que intervendrá en la causa.

Fuentes: 

http://www.clarin.com/internet/Taringa-descargas_ilegales-juicio_oral_0_700130198.html

http:// www.lanacion.com.ar/1473215-piden-juicio-oral-para-los-titulares-de-taringa

Para la justicia estadounidense, una dirección IP no es una persona

En lo que puede considerarse como un leading case respecto de las demandas judiciales por infracción a los derechos de propiedad intelectual, un juez federal del estado norteamericano de Nueva York dictaminó que una dirección IP (conjunto de números asignados a todo dispositivo que se conecte a una red de computadoras y que utilice el protocolo de comunicación IP) no se puede asimilar a una persona.

El caso en cuestión giraba respecto de una demanda iniciada por tres compañías productoras de películas para adultos, contra una gran cantidad de supuestos infractores que habían compartido y/o bajado filmes mediante el protocolo P2P BitTorrent. Los demandantes solicitaron al juzgado se identificara a las personas bajo cuyo nombre se encontraban registradas las direcciones IP, mediante el librado de oficios a los ISPs (proveedores de servicio de internet) ya que consideraban que ellos eran los que podían relacionar las direcciones IP con las verdaderas identidades de los acusados. Específicamente, se requería el nombre, dirección, número de teléfono, dirección de correo electrónico y MAC address (dirección única asignada al hardware que se utiliza para acceder a la red).

Algunos acusados respondieron las alegaciones de diversas maneras. Adujeron cuestiones tales como que se encontraban en el trabajo a la hora de la supuesta descarga, que la cuenta había sido comprometida por hackers, edad avanzada y falta de interés en el tópico de las películas así como que tales producciones eran contrarias a sus pensamientos morales, éticos y religiosos.

Luego viene lo que podemos calificar como el núcleo del caso. El juez realiza una serie de consideraciones respecto de la relación entre una dirección IP y una persona, tales como:

• Una dirección IP solamente brinda la ubicación donde uno o mas dispositivos pueden ser conectados a dicho elemento.
• Debido a la popularidad de los puntos de acceso inalámbricos (según el fallo el 61% de los hogares estadounidenses cuentan con un dispositivo de ese tipo) una sola dirección IP puede dar acceso a Internet a múltiples dispositivos. Personas distintas a la del titular del servicio de acceso a Internet pueden acceder a la red y cometer las acciones cuestionadas.
• A pesar de todas las medidas que se puedan tomar, cualquier persona utilizando software disponible públicamente puede evadir dichas medidas y acceder a un router inalámbrico.
• Algunas de las direcciones IP cuestionadas pertenecen a personas jurídicas o entidades que ofrecen acceso a Internet al público en general, tales como bibliotecas y cybercafés.

Resumiendo, el magistrado sostuvo que a pesar de que los actores sostuvieran que relacionando la dirección IP con el titular del servicio daría con los reales infractores, como la mayoría, si no todas las direcciones IP pertenecían a routers inalámbricos, el infractor podía ser cualquier tanto el titular como algún miembro de su familia, un vecino, un empleado, un visitante o cualquier otra persona.

También el fallo hace referencia a la táctica seguida por la querella, la cual califica de desleal, desde que no les interesaba tanto llevar a los demandados a juicio sino como utilizar al juzgado y sus poderes legales para obtener los datos de los usuarios y obligarlos a cerrar costosos acuerdos extrajudiciales. Además consideró que no correspondía conformar un litisconsorcio pasivo, desde que por las fechas provistas de las descargas - separadas por semanas y meses - era imposible que los acusados actuaran en forma coordinada; así como que al realizar una demanda masiva, los acusadores evitaban el pago de los filling fees, especie de tasa de justicia.

Como conclusión, el juez desestima la demanda contra todos los supuestos infractores excepto para uno de ellos, donde solicita al ISP los datos del suscriptor, datos limitados y no en forma amplia como habían solicitado los demandantes. Además, importante desde el punto de vista de futuras acciones, recomienda que las demandas sean iniciadas en forma individual, para evitar resultados injustos, litisconsorcios impropios, desperdicio de recursos judiciales así como para asegurar el correcto pago de los gastos de justicia.

Algunas palabras a modo de cierre. Si bien lo importante en este caso es la separación que se hace entre una dirección IP y una persona, no menos significativo es que el magistrado también indicó en los considerandos que la dirección IP es un medio válido para determinar la identidad de quien puede resultar infractor, así como que las violaciones a los derechos de autor no deben quedar sin reparación, pero siempre mediante modos que aseguren los derechos de todas las partes involucradas. Un claro mensaje que desestimar la relación entre IP y persona no significa otorgar carta blanca a las descargas no autorizadas de la Red. Esto nos lleva a pensar que, la próxima gran meta de la tecnología es desarrollar algún método que permita una relación única entre la persona y el dispositivo utilizado para acceder a Internet. ¿Genética, el ADN como "dirección IP", biometría? Es posible. La ciencia y la tecnología no nos dejan de sorprender a diario, por lo que nada nos impide vislumbrar tal futuro.

El fallo completo se puede descargar desde aquí.

El cierre de Megaupload ¿Un anticipo de lo que se viene?

En el día de ayer, el mundo se vio sorprendido cuando el gobierno estadounidense a través del FBI procedió al cierre del sitio de intercambios de archivos Megaupload, acusando a siete de sus integrantes (y arrestando a cuatro de ellos) de conspiración para cometer crímenes, lavado de dinero asi como por facilitar la violación de los derechos de propiedad intelectual (lo que conocemos coloquialmente como piratería online) lo cual le costó a los poseedores de los DPI la suma de 500 millones de dólares.

Es legítimamente válido que quienes detenten los DPI de obras artísticas, musicales, programas de computación o cualesquiera otras hagan valer tales derechos de acuerdo a lo que las leyes prescriben. Las leyes que protegen la propiedad intelectual están para ser respetadas. Pero ello no otorga a un estado a avasallar otros derechos legítimos, tan válidos como los citados. El intercambio de archivos por medios electrónicos es una actividad lícita. No lo es que algunos usuarios de tales servicios intercambien archivos de los cuales no son titulares de sus derechos. Entonces, es tarea de los estados, a través de sus poderes, investigar y juzgar tales conductas, de acuerdo a la legislación que corresponda, condenando a los responsables. El cierre total del sitio no parece ser la mejor respuesta. En una analogía con el mundo "real", imaginemos que un grupo de personas se dedicara a guardar autos robados en un garage abierto a todo público. La policía allana el lugar, detiene a los malvivientes y procede a cerrar definitivamente el lugar, impidiendo que los legítimos propietarios de los demás vehículos accedan a retirar los mismos. ¿Inconcebible? Pues bien, esto es lo que hoy sucedió con Megaupload.

El cierre de Megaupload lleva inevitablemente a hacernos algunas preguntas: ¿Como recuperarán los usuarios los archivos subidos al sitio? ¿Quien y de que manera responderá civilmente por los eventuales daños y perjuicios que sufrieron los legítimos usuarios? ¿Tendrían que ir a litigar a un tribunal estadounidense? ¿Que sucede con la razonable expectativa de privacidad respecto de sus datos? O lo que es quizás mas grave ¿hasta que punto este tipo de acciones puede dañar la confianza que personas y empresas tienen sobre los servicios de la red, puntualmente en el cloud computing?

Demasiadas preguntas y por ahora muy pocas respuestas. En nuestra opinión actitudes como estas resultan gravísimas y de consecuencias impredecibles (al momento de escribir estas líneas, el grupo de hackers conocido como Anonymous se encuentra atacando sitios gubernamentales y de la industria del entretenimiento de los EEUU), no solo por lo dicho sino también porque se pueden jugar cuestiones tales como la libertad de expresión y el derecho a la libre circulación de información. Queda entonces cada vez mas claro que la solución debe partir de consensos entre los majors de esta historia, es decir, entre los productores de contenidos, la industria de la TI y los gobiernos en representación de sus ciudadanos en tanto usuarios de la Red; acuerdos que se reflejen en leyes que permitan compensar y balancear los intereses de todas las partes involucradas. De seguir con este juego del gato y el ratón, todos perderemos y nadie saldrá ganando.

Administradora de fondos acuerda pagar U$S 65 millones para evitar juicio por errores de programación de software

El día martes pasado, la administradora de fondos estadounidense AXA Rosenberg, unidad de negocios del conglomerado francés AXA SA, acordó pagar la suma de 65 millones de dólares a un grupo de inversores para que estos levanten un juicio iniciado en su contra. AXA Rosenberg fue demandada debido a las pérdidas que causó un fallo de programación en el software, el cual impidió a la compañía evaluar correctamente los riesgos empresarios. Este acuerdo se suma a dos previos donde AXA Rosenberg ya había pagado 242 millones a clientes y al gobierno de los Estados Unidos.

De acuerdo a lo descripto en la demanda, el error de programación fue introducido en el software en enero del 2007, llevando a los clientes a tomar riesgos excesivos que de otra manera no hubieran sucedido. El error fue encontrado en junio del 2009 y solucionado cinco meses mas tarde, pero no fue revelado sino hasta el año 2010, cuando la SEC (Securities and Exchange Commision - organismo estadounidense regulador de la actividad bursátil)  comenzó a investigar el asunto. Ni la empresa ni Barr Rosemberg (fundador de la administradora) aceptaron ninguna culpabilidad ni error al presentar el acuerdo.

Entendemos que este caso es un claro ejemplo de los riesgos que se corren en la empresa al no tener una política clara de administración del software. Si el mismo es desarrollado in-house, se debe seguir y asegurar que se cumpla todo el proceso SQA (Software Quality Assurance) y que sus resultados estén de acuerdo con los estándares internacionales de calidad, tal como el ISO 9000/1 y el modelo CNMI. Ahora, si el producto es adquirido de un tercero, se deben exigir del mismo especificaciones claras, las correspondientes garantías asi como evitar eventuales renuncias de responsabilidad. En ambos casos, también es importante realizar auditorias informáticas periódicas, preferentemente hechas por entes externos a la empresa, para que de esa manera sus resultados no se vean influenciados por cuestiones internas de la compañía. Por supuesto, no menos importante es tener un buen asesoramiento legal respecto del software en tanto activo de la empresa. Items como derecho de uso, número de licencias permitidas, manejo de información confidencial o marcada como secreto comercial, depósito del código fuente bajo control de un tercero (escrow), planes de contingencia por imposibilidad de ejecutar el o los programas que puedan conducir a reclamos posteriores, son solo algunos de los que se deben tener en cuenta. No hacerlo puede llevar a resultados claramente indeseados, tal el caso antes descripto.

Fuente: http://www.wallstreetandtech.com/data-security/231902106?cid=nl_wallstreettech_daily